OpenAI: Cyber-Pipeline validierte 948 lokale Rechteausweitungen unter Linux und schrieb Patches, 1,2 Millionen Dollar API-Kosten; Prämienvielfache sind hypothetisch, alle Zahlen stammen von OpenAI

Am 4. November 2026 veröffentlichte OpenAI den Forschungsbeitrag „A thousand fewer paths to root“. Er beschreibt eine autonome Pipeline, die Schwachstellen im Linux-Kernel findet, validiert, ausnutzt und patcht und auf einem Cyber-Modell aufbaut, das der Beitrag als kommend bezeichnet. Die Kernaussage: Ein Lauf validierte 948 lokale Rechteausweitungen (LPE) und erzeugte Patches dafür, bei API-Kosten von 1,2 Millionen Dollar. Das sind Angaben von OpenAI selbst. Der Beitrag nennt keine einzelne Schwachstelle und hält die Einzelheiten der neuen Ausnutzungstechniken aus Sicherheitsgründen zurück.

Die Zahlen stammen aus einem Trichter, und jede Stufe zählt etwas anderes. Scout-Agenten wählten 5.034 Prüfziele aus, rund 2,8 Millionen Zeilen oder etwa 7 % eines Kernels mit mehr als 40 Millionen Zeilen, für 3.426 Dollar. Analyse-Agenten lieferten in 12 Stunden 2.308 Kandidaten nach Deduplizierung, für 316.549 Dollar. In virtuellen Maschinen mit KASAN reproduzierten Triage-Agenten davon binnen 30 Stunden 1.724, etwa 74,7 %; nur 3,1 % beruhten laut Beitrag auf einer unmöglichen Bedingung. Ein Vorfilter-Agent engte die validierten Fälle auf 313 Informationsleck-Kandidaten und 1.238 LPE-Kandidaten ein. Exploit-Agenten erzeugten danach 291 Proofs of Concept für Lecks und 1.169 funktionierende LPE-Exploits. Nach einer Variantenanalyse schrieb das Team 948 verschiedene Patches und verwendet diese Zahl als Anzahl eindeutiger LPEs. Die 1.169 zählen also Exploits, die 948 verschiedene zugrunde liegende Fehler.

Die Kosten folgen denselben Stufen. Die Ausnutzung kostete 775.929 Dollar: 691.000 für LPE-Kandidaten und 84.929 für Lecks. Ein erfolgreicher Exploit kostete im Mittel etwa 359 Dollar, die 69 gescheiterten Versuche dagegen im Durchschnitt je 3.922 Dollar, weil wenige schwierige Fälle wie Race Conditions das Budget aufzehrten. Der Beitrag schlägt eine Abbruchregel vor, etwa nach einer Stunde ohne Fortschritt aufzuhören. Der Oktoberlauf kostete insgesamt 1.213.430 Dollar; die Autoren nennen das eine Obergrenze, weil die Arbeit Fähigkeit und nicht Kosten maß. Während der Entwicklung der Pipeline hatte GPT-5.6 Sol Ende Juli auf dem damals neuesten Kernel 166 eindeutige LPEs gefunden und ausgenutzt, für 513.690 Dollar. Modell und Kernel-Stand beider Läufe unterscheiden sich, es ist also kein kontrollierter Vergleich.

Der Beitrag vergleicht die Kosten auch mit Prämien. Überträgt man die früheren Linux-LPE-Belohnungen von Pwn2Own (20.000 Dollar) und TyphoonPWN (70.000 Dollar) auf 948 Exploits, ergibt sich ein hypothetischer Wert von 18,9 bis 66,3 Millionen Dollar, das 16- bis 55-Fache der Pipeline-Kosten. In Googles kernelCTF-Umgebung nutzte das Team den neuesten Linux-Kernel und entfernte die damit inkompatible Schutzmaßnahme SLAB_VIRTUAL aus der Konfiguration. Unter dieser geänderten Konfiguration brachte eine Kampagne von 112 Stunden und rund 32.936 Dollar 25 Informationsleck-Proofs und 21 LPE-Exploits. Das wäre laut Beitrag bei Annahme etwa 1,5 Millionen Dollar wert, rund das 45-Fache der Kosten; zum Zeitpunkt des Schreibens hatte das Programm 2026 26 bestätigte Zero-Day-LPEs akzeptiert. Es sind hypothetische Bewertungen aus öffentlichen Auszahlungen, kein verdientes Geld, und sie setzen voraus, dass jeder Exploit angenommen wird. Gezählt werden nur API-Kosten.

Zur Patch-Geschwindigkeit: Der Scan lief Mitte Oktober auf dem neuesten Kernel. Als der autonome Scan und die manuelle Analyse nach 10 Tagen fertig waren, waren 61 LPEs bereits im Upstream behoben, 43 hatten Staging-Patches und 299 wurden gemeldet und öffentlich diskutiert. OpenAI sagt, auf Anregung der Kernel-Community Hunderte Meldungen und Patches für kritische Fehler verschickt zu haben und mit den Partnern von Patch the Planet den Rest nach und nach zu senden. Auf der Seite zu Patch the Planet, am 22. Juni als Daybreak-Initiative mit Trail of Bits angekündigt, steht, dass Sicherheitsingenieure Funde prüfen, bevor sie die Maintainer erreichen. Auch die Kernel-Pipeline endet damit, dass menschliche Forschende Exploit, Patch und Schweregrad vor der Meldung prüfen.

Der Beitrag teilt außerdem Lehren zur Überprüfung von Agenten. In einem frühen Lauf meldete die Ausnutzungsstufe 200 erfolgreiche LPEs, doch die menschliche Prüfung zeigte, dass 20 über einen anderen Zero-Day als den zugewiesenen Root erreicht hatten; OpenAI ergänzte eine unabhängige Kontrolle. Bei der Orchestrierung hob die Bereitstellung von 103 Ausnutzungstechniken für GPT-5.5 Cyber die Erfolgsrate bei 63 Kandidaten von 76,2 % auf 88,9 %. Mit GPT-5.6 Cyber schlug ein leicht orchestrierter Ablauf ohne diese Schicht den schwereren GPT-5.5-Ablauf, und das Wiederhinzufügen brachte nur 1,5 Punkte. In einer Stichprobe von 166 Exploits nutzten die Agenten 10 Techniken, die die Autoren und externe Kernel-Fachleute als neu einstuften. Die Patch-Erzeugung brauchte Iterationen, denn erste Patches stoppten den Proof of Concept, enthielten aber teils unnötigen Code, folgten Konventionen nicht oder übersahen Varianten. Der kernelCTF-Lauf fand zudem einen QEMU-TCG-Fehler, den Upstream schon behoben hatte, der verwendete Build aber noch nicht.

Man sollte den Beitrag mit seinen Grenzen lesen. Er ist ein Herstellerbericht ohne unabhängige Reproduktion, ohne öffentliche Liste der Schwachstellen und ohne Schätzung übersehener Fehler, und seine Kosten umfassen API-Ausgaben, nicht die Zeit der prüfenden Menschen. Die 1,2 Millionen Dollar sind eine API-Rechnung für eine Konfiguration, kein Preis für das Prüfen beliebiger Kernel, und die Prämienvielfachen sind kein Gewinn. Die Autoren raten selbst, geprüften Code bei besseren Modellen erneut zu scannen, zu prüfen, ob schwere Orchestrierung ihre Wartung noch lohnt, und neben dem Ergebnis auch den Weg dorthin zu verifizieren.